CISA adaugă cinci vulnerabilități exploate de Flax Typhoon
3 min read
Adaugă Voxcapital.ro ca sursă preferată în Google
CISA, Agenția pentru Securitate Cibernetică și Infrastructură a SUA, a adăugat recent cinci vulnerabilități în catalogul său de vulnerabilități exploatate cunoscute (KEV), urmare a unor atacuri atribuite unui actor de amenințări legat de China, Flax Typhoon. Aceste defecțiuni de securitate au fost deja utilizate pentru a compromite sisteme critice, iar remedierea lor este esențială pentru prevenirea unor consecințe majore.
Detalii despre cele cinci vulnerabilități adăugate în KEV
Prima dintre vulnerabilități este CVE-2015-3306, cu un scor CVSS de 10,0, o exploatare a unui control incorect al accesului în ProFTPD. Această defecțiune ar permite atacatorilor să citească și să scrie fișiere arbitrare prin comenzile site cpfr și site cpto.
CVE-2021-3199, cu scor CVSS 9,8, este o vulnerabilitate de path traversal înONLYOFFICE Docs, care poate fi activată prin utilizarea secvenței „/..” într-un parametru de încărcare a imaginilor, dacă este folosit JSON Web Token (JWT). Aceasta poate permite execuția de cod la distanță.
CVE-2023-22894 (CVSS 7,2) este o stocare în text clar a informațiilor sensibile în Strapi, care ar putea dezvălui detalii despre utilizatori unui atacator cu acces la panoul de administrare, prin filtrul de interogare.
CVE-2016-3081 (CVSS 8,1) este o injecție de comenzi în Apache Struts, care permite unui atacator la distanță să execute cod arbitrar prin method:prefix când Dynamic Method Invocation este activat. Ultima dintre cele cinci, CVE-2015-5477 (CVSS 7,5), este o vulnerabilitate de tip reachable assertion în ISC BIND, care ar permite unui atacator la distanță să provoace un denial-of-service prin interogări TKEY.
În plus, CISA a anunțat că adăugarea acestor vulnerabilități coincide cu un avertisment comun emis de Australia, Canada, Japonia, Noua Zeelandă, Spania, Marea Britanie și SUA, care semnalează activități de spionaj cibernetic legate de o companie din China, Integrity Technology Group. Aceasta este implicată în atacuri care vizează opt vulnerabilități de securitate, inclusiv cele cinci menționate mai sus, pentru a obține acces inițial la organizații și a sustrage date sensibile.
Atacurile implică exploatarea defectelor cu instrumente de scanare, atacuri cross-site scripting și password spraying pe servere Microsoft Exchange, în timp ce persistența este asigurată prin software VPN, iar e-mailurile și acreditările sunt exfiltrate cu ajutorul unor scripturi. Celelalte trei vulnerabilități din cele opt figurau deja în catalogul KEV: CVE-2014-6278, o injecție de comenzi în GNU Bash, cunoscută și ca Shellshock, adăugată în octombrie 2025, CVE-2019-11510, o citire arbitrară de fișiere în Ivanti Pulse Connect Secure, adăugată în noiembrie 2021 și CVE-2021-22205, o execuție de cod la distanță în GitLab Community and Enterprise Edition, adăugată tot în noiembrie 2021.
Chris Butera, director executiv adjunct interimar pentru securitate cibernetică, a subliniat: „Actorii afiliați guvernului chinez continuă să se poziționeze în rețelele de infrastructură critică, inclusiv în sistemele de tehnologie operațională (OT), cu scopul de a perturba funcții critice la un moment viitor ales de ei.”
Din cauza exploatării active, agențiile federale trebuie să aplice patch-urile necesare sau să renunțe la utilizarea produselor afectate până la 11 octombrie 2026.
Paul M.
